Google reCAPTCHA 首次要看你的手｜21 个关节点验证上线，被一张库存照绕过
一句话总结
Google 6 月 19 日把手势验证推进 reCAPTCHA：21 个手部关节点配摄像头做活体判定。Neowin 用一张库存手部照直接放行，第一波测试就被静态图绕过。
Google 6 月 19 日把 手势验证 推进 reCAPTCHA 产品线，挂在 Google Cloud Fraud Defense 之下，向登录页、注册页、改密页、结账页的接入网站开放。新版验证码不再让你点红绿灯，而是要求打开摄像头、对着镜头比手势，背后由 Google MediaPipe Hand Landmarker 抽取 21 个手部关节座标 做活体识别。
Google 在官方文档上把隐私边界写得很硬："The videos are never associated with a user's identity and are deleted after the verification process. Audio is never recorded." 摄像头视频只供当次验证用，用完即删、不上身份、不录音、不向第三方共享，无法完成手势的用户仍可走原有 视觉 / 音频挑战 通道。
问题出在实效。Neowin 的测试员把 一张静态的库存手部照片 放在摄像头前晃了晃，验证直接放行——21 个关节点识别并不检查影像是否来自活人指节，连基本的眨眼级活体都没有。80.lv 在 6 月 22 日的报道里同步质疑："it's not really clear how well this would hold up against virtual cameras and AI-generated animations that can mimic hand gestures." 官方版本由 deepfake 防线升级而来，第一波公开测试先被静态照截断。
社区的两条反对线同时开火。Cybernews、Reddit、X 上的常见质疑是用户要把摄像头权限交给一家以个性化广告维生的公司去换"人类证明"；reCAPTCHA 过去靠 invisible score、行为信号就能完成大部分判定，现在要求生物特征采集，门槛直接抬到 GDPR 灰区。Google 没回应库存照绕过的测试。
赌赢，摄像头手势成为 reCAPTCHA 对抗 AI agent 自动化的下一代护城河，网站接入率沿着 Cloud Fraud Defense 的客户清单扩张。赌输，这是史上最贵一张 GDPR 罚单的种子——拿了摄像头权限，拦不住一张库存照。
via Cybernews / Google Cloud Docs / Neowin / Help Net Security / 80.lv
Google 在官方文档上把隐私边界写得很硬："The videos are never associated with a user's identity and are deleted after the verification process. Audio is never recorded." 摄像头视频只供当次验证用，用完即删、不上身份、不录音、不向第三方共享，无法完成手势的用户仍可走原有 视觉 / 音频挑战 通道。
问题出在实效。Neowin 的测试员把 一张静态的库存手部照片 放在摄像头前晃了晃，验证直接放行——21 个关节点识别并不检查影像是否来自活人指节，连基本的眨眼级活体都没有。80.lv 在 6 月 22 日的报道里同步质疑："it's not really clear how well this would hold up against virtual cameras and AI-generated animations that can mimic hand gestures." 官方版本由 deepfake 防线升级而来，第一波公开测试先被静态照截断。
社区的两条反对线同时开火。Cybernews、Reddit、X 上的常见质疑是用户要把摄像头权限交给一家以个性化广告维生的公司去换"人类证明"；reCAPTCHA 过去靠 invisible score、行为信号就能完成大部分判定，现在要求生物特征采集，门槛直接抬到 GDPR 灰区。Google 没回应库存照绕过的测试。
赌赢，摄像头手势成为 reCAPTCHA 对抗 AI agent 自动化的下一代护城河，网站接入率沿着 Cloud Fraud Defense 的客户清单扩张。赌输，这是史上最贵一张 GDPR 罚单的种子——拿了摄像头权限，拦不住一张库存照。
via Cybernews / Google Cloud Docs / Neowin / Help Net Security / 80.lv
